Mètodes per auditar l'activitat dels usuaris

1. SUDOERS BCN
SUDOERS BCN
Mètodes per auditar l'activitat dels usuaris
David Acacio
Email: dacacioa@gmail.com - Twitter: @david_acacio

2. SUDOERS BCN Mètodes per auditar l'activitat dels usuaris.
INDEX
● Why?
● History File
● Script
● Linux Audit Framework
● SystemTap
● Anything Else?
● Referències
13/12/2011 SUDOERS BCN 2

3. SUDOERS BCN Mètodes per auditar l'activitat dels usuaris.
Why?
➢ Servidors amb gran nombre de usuaris.
➢ Usuaris amb privilegis/groups compartits.
➢ Gran nombre de procesos batch executant-se amb privilegis.
➢ Constant sobre càrrega de feina (política/tècnica) auditant.
13/12/2011 SUDOERS BCN 3

4. SUDOERS BCN Mètodes per auditar l'activitat dels usuaris.
History File
➢ Guardar el history de les comandes executades en fitxer de log
➢ Compatible amb tots el SO Unix (Linux, AIX, HP-UX, etc...)
➢ Fàcil implementació:
Inclusió en el /etc/prof le de les línies:
i
typeset -r REALUSER=`/usr/bin/who -m | /usr/bin/awk '{print $1}'`
typeset -r HISTSIZE=2048
typeset -r HISTFILE=/logs/system/bigbrother/${USER}_${REALUSER}_$(date +"%d%h%Y_%H%M%S")
➢ Fàcil de evitar.
13/12/2011 SUDOERS BCN 4

5. SUDOERS BCN Mètodes per auditar l'activitat dels usuaris.
Script
➢ Guardar el output de tot el terminal.
➢ NO compatible amb tots el SO Unix.
➢ Fàcil implementació:
Inclusió en el /etc/prof le de la línia:
i
exec script -fqa /logs/system/bigbrother/script/${USER}_${REALUSER}_ALL_$(date +"%d%h%Y_%H%M%S")
➢ Gravació de tota la sortida del terminal.
13/12/2011 SUDOERS BCN 5

6. SUDOERS BCN Mètodes per auditar l'activitat dels usuaris.
Linux Audit Framework (audit) 1/4
➢ LAF es part del Kernel de Linux, i pot ser utilitzat per monitoritzar els events
importants del sistema. Per exemple:
● Loging de totes les execucions de nous procesos per cert usuari.
● Comandes fallides.
● Accesos a fitxers.
● Etc..
➢ NO compatible amb tots el SO Unix.
➢ Fàcil instal·lació (de base activat a quasi tots els Linuxs):
● Requereix dels paquets audit, audit-libs i audit-libs-python
● Requereix que els següents paràmetres estiguin actius al kernel:
CONFIG_AUDIT=y, CONFIG_AUDITSYSCALL=y, CONFIG_AUDIT_WATCH=y,
CONFIG_AUDIT_TREE=y
● Requereix del daemon auidtd per gravar tota l'activitat a disc.
13/12/2011 SUDOERS BCN 6

7. SUDOERS BCN Mètodes per auditar l'activitat dels usuaris.
Linux Audit Framework (Audit) 2/4
➢ Comandes bàsiques:
● auditctl -s (mostra el estat del audit)
● auditctl -l (llistat de les regles)
● auditctl -D (eliminació de totes les regles)
➢ Fitxers importants:
● auditd.conf (configuració del daemon)
● audit.rules (regles)
● audit.log (fitxer de log)
➢ Altres comandes:
● ausearch (filtratge de logs)
● aureport (reports dels logs)
13/12/2011 SUDOERS BCN 7

8. SUDOERS BCN Mètodes per auditar l'activitat dels usuaris.
Linux Audit Framework (Audit) 3/4
➢ Exemples:
● auditctl -w /etc/shadow -p war -k shadow-file (controlar canvis
/etc/shadow)
● aureport -ts today -k (treure report mostrant les claus)
● ausearch -ts today -k shadow-file (filtrar per clau)
● auditctl -w /tmp -p war -k control-tmp (controlar modificacións a
directoris)
● auditctl -a entry,always -S all -F uid=500 (totes les crides a sistema d'un
usuari)
● auditctl -a entry,always -S all -F pid=1005 (totes les crides a sistema
d'un procés)
➢
13/12/2011 SUDOERS BCN 8

9. SUDOERS BCN Mètodes per auditar l'activitat dels usuaris.
Linux Audit Framework (Audit) 4/4
➢ Format de sortida del aureport:
● first column is an index
● 2nd is the date of the event
● 3rd is the time of the event
● 4th is the file name
● 5th is the syscall id (use -i to make aureport display strings)
● 6th is the result of the system call
● 7th is the process that triggered the event
● 8th is the actual/audit uid (the initial uid of the session, which remains the
same even if you change user with su after, for ex)
● 9th is the event id
13/12/2011 SUDOERS BCN 9

10. SUDOERS BCN Mètodes per auditar l'activitat dels usuaris.
SystemTap
➢ SystemTap facilita una infraestructura per la recollida d'informació dels
sistemes Linux.
➢ NO compatible amb tots els SO Unix
➢ Facilita una línia de comandes i un llenguatge d'scripting per la instrumentació
del sistema online.
➢ Permet aplicar lògica a la monitorització.
➢ Instal·lació una mica complexa.
➢ Gran ventall de recursos i documentació.
➢ http://sourceware.org/systemtap/wiki/HomePage?action=show&redirect=SystemTap
13/12/2011 SUDOERS BCN 10

11. SUDOERS BCN Mètodes per auditar l'activitat dels usuaris.
Anything else?
Anything else?
13/12/2011 SUDOERS BCN 11

12. SUDOERS BCN NMON: L'eina desconeguda d'anàlisis de rendiment.
Referències
● auditctl man page
● http://linux.die.net/man/8/auditctl
● ausearch man page
● http://linux.die.net/man/8/ausearch
● aureport
● http://linux.die.net/man/8/aureport
● SystemTap
● http://sourceware.org/systemtap/wiki/HomePage?action=show&redirect=SystemTap
13/12/2011 SUDOERS BCN 12

13. SUDOERS BCN NMON: L'eina desconeguda d'anàlisis de rendiment.
Gràcies.
13/12/2011 SUDOERS BCN 13